Détecter les failles informatiques avant que des cybercriminels ne les exploitent, puis rémunérer ceux qui les signalent. C’est le principe du “bug bounty”, que Mbaye Sankhe entend développer avec BugSecure Africa, une plateforme cofondée avec Bilal Ndao. Titulaire d’un Master 2 en sécurité informatique de l’Université Joseph Fourier de Grenoble, le fondateur de Kulinda Security compte plus de douze ans d’expérience, avec un parcours passant notamment par La BNP Paribas, par Thales, sur le programme spatial Galileo, la RATP et Orano. Aujourd’hui, le jeune Sénégalais, expert en cybersécurité offensive, veut mettre cette expérience au service des organisations africaines, tout en ouvrant des perspectives aux chercheurs locaux.
Pour expliquer le fonctionnement du bug bounty, Mbaye Sankhe emprunte une image à la vie quotidienne. “Imaginez que vous invitiez publiquement les meilleurs serruriers du pays à essayer d’ouvrir les portes de votre immeuble. Vous fixez les règles, et vous ne payez que celui qui trouve réellement un défaut, avant qu’un cambrioleur ne l’exploite.” Appliquée aux systèmes informatiques, la démarche consiste à autoriser des chercheurs en sécurité à examiner un site, une application ou un service dans un périmètre défini. Chaque vulnérabilité démontrée et validée peut alors donner lieu à une récompense, selon les conditions du programme.
Le concepteur illustre ce mécanisme par l’exemple d’une boutique en ligne. Un chercheur découvre qu’en modifiant un identifiant dans l’adresse d’une page, il peut consulter la commande et les informations personnelles d’un autre client. Au lieu d’exploiter cette faiblesse, il la signale de manière confidentielle, avec les éléments permettant de la reproduire. L’entreprise peut alors intervenir et rémunérer le chercheur. Cet exemple résume la logique du dispositif, qui cherche à transformer la découverte d’une faille en occasion de renforcer la sécurité.
Encore faut-il que cette recherche soit autorisée et encadrée. L’organisation choisit les systèmes qui peuvent être examinés, les méthodes admises et les opérations interdites. A en croire Mbaye Sankhe, BugSecure Africa prévoit une vérification de l’identité des chercheurs, des engagements de confidentialité et un traitement privé des rapports. Pour les structures les plus sensibles, le programme peut rester accessible uniquement sur invitation, à un groupe restreint de spécialistes.
Prolonger les audits par une recherche dans la durée
L’idée du projet découle de deux constats de terrain. Le confondateur de Secure Africa explique avoir rencontré des organisations dont la sécurité reposait essentiellement sur des évaluations ponctuelles, alors que leurs services numériques continuaient d’évoluer. Parallèlement, il observait des jeunes disposant de compétences en recherche de vulnérabilités, mais sans suffisamment de débouchés pour les exercer et en tirer un revenu. “Le bug bounty répond aux deux : une sécurité continue pour les entreprises, et un terrain légitime et rémunéré pour nos chercheurs“, soutient-il.
Cette approche vise ainsi à prolonger le travail réalisé lors des audits et des tests d’intrusion. Une application peut être modifiée, accueillir une nouvelle fonctionnalité ou être connectée à un autre service après son évaluation initiale. Le bug bounty offre alors la possibilité de mobiliser plusieurs chercheurs au fil de ces évolutions. Son efficacité dépend toutefois, prévient l’expert, de leur participation, de la qualité des découvertes et de la capacité de l’entreprise à apporter les corrections nécessaires.
Mbaye Sankhe reconnaît d’ailleurs les limites du modèle. “Il ne remplace pas un audit de conformité, ni une revue d’architecture approfondie, il suppose que l’entreprise soit prête à recevoir des rapports et à corriger, et le périmètre doit être clairement défini.” La recherche de failles s’inscrit donc dans une démarche plus large de protection des systèmes, avec des équipes et des moyens capables de donner suite aux signalements.
Encore peu présenté en Afrique
Le bug bounty est aujourd’hui un secteur mondial d’environ 1,9 milliard de dollars, en croissance d’environ 14 % par an (DataHorizzon Research, 2024 ; les estimations varient selon les cabinets). Mais il est très concentré : l’Amérique du Nord en représente près de 45 % et l’Europe environ 29 %, tandis que tout le Moyen-Orient et l’Afrique réunis pèsent à peine 3 %. Autrement dit, à notre connaissance, il n’existait pas, avant BugSecure Africa, de plateforme conçue et opérée pour l’Afrique francophone — souveraine, hébergée localement, en FCFA et en français.
Le modèle, lui, a fait ses preuves ailleurs : HackerOne a versé 81 millions de dollars de primes aux chercheurs en douze mois, et plus de 300 millions depuis sa création (HackerOne, 2025) ; en Europe, YesWeHack, la référence francophone, a levé 26 millions d’euros en 2024 et revendique plus de 500 clients dans 40 pays, dont Orange (BusinessWire, 2024). Mais ces plateformes sont pensées ailleurs : hébergement et paiements hors du continent, langue et devise étrangères, et les rapports de failles, parmi les données les plus sensibles, quittent le pays.
Des récompenses en FCFA et un mécanisme d’arbitrage
Concrètement, l’entreprise qui rejoint BugSecure Africa délimite son périmètre de test et publie une grille de récompenses indexée sur la gravité des vulnérabilités. Les chercheurs vérifiés y soumettent leurs rapports, qui passent par une phase de validation. C’est là que se situe le point sensible : la sévérité d’une faille — qui détermine le montant de la prime — peut donner lieu à un désaccord entre le chercheur et l’entreprise. Pour les départager, la plateforme fait intervenir un évaluateur tiers, indépendant des deux parties, dont la décision fixe le niveau de gravité ; en cas de contestation, un recours reste possible devant un second évaluateur.
Sur le plan économique, BugSecure Africa distingue l’abonnement à la plateforme du budget consacré aux récompenses. L’offre d’entrée pour les entrepises est annoncée à partir de 85.000 FCFA par mois, auxquels s’ajoutent les primes prévues pour les chercheurs. “La plateforme se rémunère par un abonnement, et ne prélève aucune commission sur les primes – le chercheur conserve l’intégralité de sa récompense“, précise Monsieur Sankhe. Pour une PME, le coût total dépendra donc du périmètre choisi, des récompenses proposées et des ressources nécessaires pour traiter les failles.
Au-delà des paiements en FCFA, les promoteurs souhaitent structurer une communauté de chercheurs africains. Ils envisagent de s’appuyer sur les universités, les compétitions techniques et le mentorat pour repérer et accompagner les talents. Un espace d’entraînement baptisé “HackerLab” figure également parmi les projets annoncés. L’ambition est de permettre aux débutants de progresser et aux profils expérimentés de trouver des missions rémunérées sur le continent.
Une expérimentation encore centrée sur la plateforme elle-même
Les premiers résultats communiqués concernent un périmètre limité. À ce stade, le seul programme actif mentionné dans les précisions fournies est celui de KLDS, la structure dont relève BugSecure Africa. La plateforme éprouve donc d’abord sa propre sécurité. Après trois semaines d’activité, ses promoteurs déclarent cinquante chercheurs inscrits, trente rapports de vulnérabilités reçus et traités, ainsi que plus de 500.000 FCFA de primes versées. Le nombre de rapports ne permet toutefois pas, à lui seul, de connaître celui des failles distinctes confirmées.
Cette phase présente aussi une particularité concernant l’arbitrage. L’équipe précise que, pour ce programme interne, l’arbitre et le payeur sont la même entreprise, une situation qu’elle indique afficher sur la page du programme et sur les certificats. Le mécanisme d’évaluation indépendante annoncé pour le modèle devra donc être apprécié à mesure que des organisations extérieures rejoindront la plateforme. Selon Mbaye Sankhe, des échanges sont en cours avec des acteurs de la finance, des télécommunications, de la santé, du transport et du secteur public, avant un lancement officiel prévu en décembre.
Garder la maîtrise des informations sensibles
Pour BugSecure Africa, l’hébergement et la confidentialité des rapports occupent une place centrale. “Un rapport de vulnérabilité, c’est la carte des faiblesses d’une organisation“, rappelle ce ressortissant sénégalais établi en France. La plateforme annonce un hébergement dans son pays d’origine, des rapports chiffrés et tracés, ainsi qu’une possibilité de déploiement sur les infrastructures mêmes des organisations les plus sensibles. Ses promoteurs associent ces choix à leur volonté de mobiliser des compétences locales et de conserver la maîtrise des informations issues des tests.
C’est sur cette articulation entre protection des systèmes, confiance des entreprises et valorisation des chercheurs que se construit le projet. La prochaine étape sera de confronter le dispositif à des environnements extérieurs, avec leurs contraintes et leurs exigences. Pour les organisations qui y participeront, la valeur du bug bounty se mesurera à la pertinence des failles découvertes et à leur correction effective.
